CVE-2026-18335
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Kirki – Freeform Page Builder, Website Builder & Customizer dla WordPressa jest podatna na ślepą Server-Side Request Forgery we wszystkich wersjach do 6.2.0 włącznie poprzez parametr 'kirki_data'. Umożliwia to nieuwierzytelnionym atakującym wysyłanie żądań sieciowych do dowolnych lokalizacji z serwera aplikacji. Może być wykorzystane do odpytywania i modyfikowania informacji z usług wewnętrznych.
Ocena ryzyka
Nieuwierzytelniony atakujący może skanować i wchodzić w interakcję z usługami wewnętrznymi sieci. Może to prowadzić do wycieku danych lub modyfikacji konfiguracji usług wewnętrznych.
Rekomendacja
Zaktualizuj wtyczkę Kirki do wersji nowszej niż 6.2.0. Do czasu aktualizacji rozważ wyłączenie wtyczki lub ograniczenie dostępu do usług wewnętrznych z serwera WordPress.
Inne podatności w Kirki WordPress Plugin
Zobacz wszystkie- CVE-2026-84223Średnie
Wtyczka WordPress Kirki przed wersją 6.3.1 nie sanityzuje przesyłanych plików SVG, jednocześnie umożliwiając ich przesyłanie w całej witrynie. Pozwala to użytkownikom z poziomem autora i wyższym przesłać plik zawierający JavaScript, który jest następnie serwowany z własnego origin witryny i wykonuje się w sesji każdego, kto go otworzy.
- CVE-2026-17037Wysokie
Wtyczka WordPress Kirki – Freeform Page Builder, Website Builder & Customizer jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'comment' we wszystkich wersjach do 6.2.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-84222Średnie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie sprawdza, czy żądający ma uprawnienia do odczytu strony przed wyrenderowaniem i zwróceniem jej treści, co pozwala nieuwierzytelnionym użytkownikom na pobieranie treści stron, które nie są publicznie dostępne, takich jak prywatne, szkice, oczekujące i usunięte.
- CVE-2026-84219Wysokie
Wtyczka Kirki dla WordPressa przed wersją 6.3.0 nie zabezpiecza wszystkich encji HTML podczas renderowania, co pozwala nieuwierzytelnionym użytkownikom na przechowywanie JavaScript w komentarzu, który następnie wykonuje się w sesji każdego, kto przegląda stronę, w tym administratora, oraz na każdej stronie, jeśli nagłówek lub stopka jest skonfigurowana do wyświetlania komentarzy.
Oryginalny opis (angielski, źródło NVD)
The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to Blind Server-Side Request Forgery in all versions up to, and including, 6.2.0 via the 'kirki_data' Parameter. This makes it possible for unauthenticated attackers to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS